【正文】 五、 分中心及會員企業(yè)局域網(wǎng)設(shè)計考慮到本次系統(tǒng)建設(shè)采用數(shù)據(jù)大集中方式，所有的數(shù)據(jù)及應(yīng)用系統(tǒng)均集中在某公司平臺數(shù)據(jù)中心，因此一般分中心、辦事處等均不需要提供核心數(shù)據(jù)服務(wù)，從節(jié)約成本角度考慮采用較為簡單的結(jié)構(gòu)，網(wǎng)絡(luò)拓撲圖如下圖所示。會員企業(yè)的網(wǎng)絡(luò)原則上由其自己建立，根據(jù)中心要求配置VPN接入方式即可， 對于沒有建立自己網(wǎng)絡(luò)的企業(yè)，建議參照一下方案：會員企業(yè)網(wǎng)絡(luò)建議拓撲六、某公司同城O2O移動電子商務(wù)平臺廣域網(wǎng)設(shè)計某公司同城O2O移動電子商務(wù)平臺廣域網(wǎng)釆用“雙星型雙節(jié)點結(jié)構(gòu)”，即雙核心路由、 雙接入、雙運營商線路的結(jié)構(gòu)，實現(xiàn)線路互為備份、路由設(shè)備互為備份。為了保證 安全，所有接入釆用VPN方式，并通過CA進行認證。網(wǎng)絡(luò)建設(shè)總體結(jié)構(gòu)如下圖所示：廣域網(wǎng)拓撲結(jié)構(gòu)圖七、IP地址規(guī)劃對于本項目這樣規(guī)模的網(wǎng)絡(luò)，必須對IP地址進行統(tǒng)一規(guī)劃并得到實施。IP地址 規(guī)劃的好壞，影響到網(wǎng)絡(luò)路由協(xié)議算法的效率，影響到網(wǎng)絡(luò)的性能，影響到網(wǎng)絡(luò)的擴展，影響到網(wǎng)絡(luò)的管理，也必將影響到網(wǎng)絡(luò)應(yīng)用的進一步發(fā)展。IP地址空間分配，要與網(wǎng)絡(luò)拓撲層次結(jié)構(gòu)相適應(yīng)，既要有效地利用地址空間， 又要體現(xiàn)網(wǎng)絡(luò)的可擴展性和靈活性，同時能滿足路由協(xié)議的要求，以便于網(wǎng)絡(luò)中的路由聚類，減少路由器中路由表路由數(shù)量，減少路由器中路由表的長度，減少對路由器CPU、內(nèi)存的消耗，降低網(wǎng)絡(luò)動蕩程度，隔離網(wǎng)絡(luò)故障，提高路由算法的效率， 加快路由變化的收斂速度，同時還要考慮到網(wǎng)絡(luò)地址的可管理性。IP地址的具體分 配時要遵循的原則：(1)唯一性：一個IP網(wǎng)絡(luò)中不能有兩個主機采用相同的IP地址。(2)簡單性：地址分配應(yīng)簡單易于管理，降低網(wǎng)絡(luò)擴展的復(fù)雜性，簡化路由表 的表項。 (3)連續(xù)性：連續(xù)地址在層次結(jié)構(gòu)網(wǎng)絡(luò)中易于進行路徑疊合，大大縮減路由表， 提高路由算法的效率。(4)可擴展性：地址分配在每一層次上都要留有余量，在網(wǎng)絡(luò)規(guī)模擴展時能保證地址疊合所需的連續(xù)性。(5)靈活性：地址分配應(yīng)具有靈活性，以滿足多種路由策略的優(yōu)化，充分利用 地址空間。IP地址規(guī)劃主要涉及到網(wǎng)絡(luò)資源的利用的方便有效的管理網(wǎng)絡(luò)的問題，Internet IP地址相對緊張的情況下，合理有效的利用IP地址成為IP地址規(guī)劃的主要問題， 合理的IP地址規(guī)劃是有利于網(wǎng)絡(luò)管理的。IP地址的合理分配是保證網(wǎng)絡(luò)順利運行和 網(wǎng)絡(luò)資源有效利用的關(guān)鍵。充分考慮到地址空間的合理使用，保證實現(xiàn)最佳的網(wǎng)絡(luò) 內(nèi)地址分配及業(yè)務(wù)流量的均勻分布。在本項目中，采用靜態(tài)分配和動態(tài)分配相結(jié)合的方式分配IP地址：(1)設(shè)備互聯(lián)地址，設(shè)備Loopback地址等釆用固定IP地址。(2)各級局域網(wǎng)中，服務(wù)器釆用固定地址。一般而言，對于開機率比較低的區(qū)域，或主機位置及人員變動相對比較頻繁的 區(qū)域，如辦公區(qū)，開發(fā)中心等，釆用動態(tài)地址分配，辦公區(qū)的主機開機時通過DHCP 請求獲得一個，用戶的網(wǎng)絡(luò)通信使用該地址，關(guān)機后系統(tǒng)回收該IP地址。這樣既可 以節(jié)約IP,也使得網(wǎng)絡(luò)用戶便于管理。對于合法IP地址的申請，根據(jù)我國互聯(lián)網(wǎng)地址的申請程序，擬向CNNIC提出 申請。鑒于合法IP地址申請困難，因此在地址分配時，要節(jié)約使用。八、路由協(xié)議規(guī)劃對一個大型網(wǎng)絡(luò)來說，選擇一個合適的路由協(xié)議是非常重要的。不恰當(dāng)?shù)倪x擇 有時對網(wǎng)絡(luò)是致命的，路由協(xié)議對網(wǎng)絡(luò)的穩(wěn)定高效運行、網(wǎng)絡(luò)在拓撲變化時的快速 收斂、網(wǎng)絡(luò)帶寬的充分有效利用、網(wǎng)絡(luò)在故障時的快速恢復(fù)、網(wǎng)絡(luò)的靈活擴展都有 很重要的影響；還有對于網(wǎng)絡(luò)承載的業(yè)務(wù)的控制方面的復(fù)雜和靈活方面具有很重要的影響。本項目系統(tǒng)網(wǎng)絡(luò)規(guī)模大，結(jié)構(gòu)復(fù)雜，業(yè)務(wù)流程控制嚴格等。需要的路由協(xié)議是 適合大型網(wǎng)絡(luò)，收斂時間快，路由策略豐富，并且是標準化容易擴展。選擇適當(dāng)?shù)穆酚蓞f(xié)議需要考慮以下因素：(1)路由協(xié)議的開放性。開放性的路由協(xié)議保證了不同廠商都能對本路由協(xié)議 進行支持，這不僅保證了目前網(wǎng)絡(luò)的互通性，而且保證了將來網(wǎng)絡(luò)發(fā)展的擴充能力和選擇空間。(2)網(wǎng)絡(luò)的拓撲結(jié)構(gòu)。網(wǎng)絡(luò)拓撲結(jié)構(gòu)直接影響協(xié)議的選擇。例如RIP這樣比較簡單的路由協(xié)議不支持分層次的路由信息計算，對復(fù)雜網(wǎng)絡(luò)的適應(yīng)能力較弱。路由協(xié)議還必須支持網(wǎng)絡(luò)拓撲的變化，在拓撲發(fā)生變化時，無論是對網(wǎng)絡(luò)中的路由本身， 還是網(wǎng)絡(luò)設(shè)備的管理都要使影響最小。(3)網(wǎng)絡(luò)節(jié)點數(shù)量。不同的協(xié)議對于網(wǎng)絡(luò)規(guī)模的支持能力有所不同，需要按需求適當(dāng)選擇，有時還需要釆用一些特殊技術(shù)解決適應(yīng)網(wǎng)絡(luò)規(guī)模方面的擴展性問題。(4)與其他網(wǎng)絡(luò)的互連要求。通過劃分成相對獨立管理的網(wǎng)絡(luò)區(qū)域，可以減少網(wǎng)絡(luò)間的相關(guān)性，有利于網(wǎng)絡(luò)的擴展，路由協(xié)議要能支持減少網(wǎng)絡(luò)間的相關(guān)性，是通常劃分為一個自治系統(tǒng)（AS )，在AS之間需要采用適當(dāng)?shù)膮^(qū)域間路由協(xié)議。必要 時還要考慮路由信息安全因素和對路由交換的限制管理。 (5)管理和安全上的要求。通常要求在可以滿足功能需求的情況下盡可能簡化管理。但有時為了實現(xiàn)比較完善的管理功能或為了滿足安全的需要，例如對路由的傳播和選用提出一些人為的要求，就需要路由協(xié)議對策略的支持。根據(jù)網(wǎng)絡(luò)的優(yōu)化設(shè)計策略，在選擇及規(guī)劃路由協(xié)議時需要按照這些因素進行考 慮和設(shè)計。目前常用的路由協(xié)議有多種，如RIP、OSPF、ISIS, BGP等等。一般來說分為：內(nèi)部網(wǎng)關(guān)路由協(xié)議和外部網(wǎng)關(guān)路由協(xié)議。其中內(nèi)部網(wǎng)關(guān)路由協(xié)議又可以分 為：距離矢量路由協(xié)議（RIP、IGRP和EIGRP)。鏈路狀態(tài)路由協(xié)議（OSPF和ISIS 等）。外部網(wǎng)關(guān)路由協(xié)議主要指的是BGP路由協(xié)議。在IGP路由協(xié)議的選擇上，距離矢量路由協(xié)議（RIP)主要特點是適合于小型 網(wǎng)絡(luò)，路由收斂較慢，可能會形成路由環(huán)路，鏈路帶寬消耗較大等。IGRP、EIGRP 是廠商私有的路由協(xié)議，所以盡量不要釆用擴展性差的（RIP)和廠家的私有路由議（IGRP 和 EIGRP),盡量釆用OSPF 或 ISIS。對于OSPF和ISIS的選擇依據(jù)為：(1)基本原理相同（基于鏈路狀態(tài)算法），OSPF用于IP,ISIS用于ISO的 CLNP,也支持 IP (“集成 ISIS” )。(2)ISIS結(jié)構(gòu)嚴謹，OSPF更加靈活，OSPF協(xié)議是基于接口的，而ISIS路由器只能屬于一個Area,并且不支持NBMA網(wǎng)絡(luò)。(3)ISIS占用網(wǎng)絡(luò)資源相對較少，支持網(wǎng)絡(luò)規(guī)模大于OSPF，在網(wǎng)絡(luò)相當(dāng)龐 大時能體現(xiàn)出優(yōu)勢。一個IGP域運行的三層交換機及路由器的數(shù)量一般不會超過200臺，因此從實際情況來看，運行OSPF和ISIS對城域網(wǎng)/承載網(wǎng)的建設(shè)不會差異；對于網(wǎng)絡(luò)的穩(wěn)定性、可擴充性，兩種協(xié)議都能很好地支持；在大型ISP上， ISIS與OSPF二者均獲得普遍應(yīng)用。(4)從目前很多廠商的設(shè)備來看，存在這樣一個問題，不少廠商的中低端路由器及三層交換機不支持ISIS，從這個角度講OSPF比ISIS有優(yōu)勢，所有的主流路由器及三層交換機都支持OSPF。(5) BGP ( Border Gateway Protocol，即邊界網(wǎng)關(guān)協(xié)議）是一種自治系統(tǒng)間的 動態(tài)路由發(fā)現(xiàn)協(xié)議，它的基本功能是在自治系統(tǒng)間自動交換無環(huán)路的路由信息。目前BGP的標準是RFC1771/RFC1772 (版本4)。BGP的路由策略特別豐富，易于控制業(yè)務(wù)和路由流程。BGP通過在路由信息中增加自治區(qū)域（AS)路徑的屬性，來構(gòu)造自治區(qū)域的拓撲圖，從而消除路由環(huán)路并實施用戶配置的策略。另外，BGP支持無類型的區(qū)域間路由CIDR( Classless Inter domain Routing )，可以有效的減少曰益增大的路由表。基于對于本項目系統(tǒng)網(wǎng)絡(luò)和路由協(xié)議分析，使用OSPF+BGP4 +靜態(tài)路由的方式 進行路由規(guī)劃。這個組合非常適于大型網(wǎng)絡(luò)的組網(wǎng)，也是當(dāng)今網(wǎng)絡(luò)規(guī)劃中被廣泛使用的設(shè)計方法。九、網(wǎng)絡(luò)高可靠性設(shè)計網(wǎng)絡(luò)的可靠性是一個端到端的全程概念，單純提高某一層面的可靠性并不能對 網(wǎng)絡(luò)整體的可靠性有很大改善。網(wǎng)絡(luò)的可靠性最終要從設(shè)備級，鏈路級，網(wǎng)絡(luò)級，應(yīng)用等各層次保證。(1)設(shè)備級的可靠性。包括設(shè)備本身的健壯性及對周圍環(huán)境的適應(yīng)能力，可靠的設(shè)備應(yīng)該對關(guān)鍵部件（如主控板，交換網(wǎng)板，電源等）進行冗余備份，并且可以在惡劣的環(huán)境下長時間穩(wěn)定運行。設(shè)備級可靠性的另外一個重要方面就是設(shè)備在線升級能力及容錯能力，容錯能力體現(xiàn)在如設(shè)備發(fā)生故障時，可自動平滑的啟動備份部件，不對業(yè)務(wù)造成影響，設(shè)備級可靠性的另外一個重要內(nèi)容就是設(shè)備間的備份，如采用VRRP或HSRP進行設(shè)備備份，當(dāng)主用設(shè)備發(fā)生故障時，流量自動切換到備 份設(shè)備上，該過程對業(yè)務(wù)透明。(2)鏈路級的可靠性。包括鏈路本身的可靠性，包括良好的線路質(zhì)量，及鏈路 備份技術(shù)，如采用一些物理線路捆綁技術(shù)提供線路的可靠性，也可以采用其它鏈路/線路保護技術(shù)，如環(huán)網(wǎng)技術(shù)。(3)網(wǎng)絡(luò)級的可靠性。網(wǎng)絡(luò)設(shè)計模塊化，各功能區(qū)域相對獨立，任一區(qū)域的故障不會擴散到其它區(qū)域；路由可靠性：首先根據(jù)網(wǎng)絡(luò)特點選擇合理的路由協(xié)議，避免路由環(huán)路，減少路由振蕩，并且保護某個網(wǎng)絡(luò)節(jié)點失效后網(wǎng)絡(luò)快速自愈。(4)應(yīng)用級的可靠性。主要是指通過各種Qos技術(shù)，充分保證關(guān)鍵業(yè)務(wù)的帶寬、廷時等。網(wǎng)絡(luò)的可靠性設(shè)計并不是一個孤立的問題，受到網(wǎng)絡(luò)的地理分布，規(guī)模，可用線路等多方面原因限制，下面從各層次描述工程可靠性設(shè)計。設(shè)備可靠性包含兩個方面的內(nèi)容，一是設(shè)備自身的可靠性，通過為關(guān)鍵核心設(shè)備配置冗余部件來實現(xiàn)設(shè)備自身的可靠性。二是設(shè)備之間的冗余備份，配置主備網(wǎng)關(guān)鍵網(wǎng)絡(luò)設(shè)備。網(wǎng)絡(luò)中的關(guān)鍵設(shè)備，如各核心交換機，骨干路由器等，應(yīng)該具備電信級可靠性：(1)%。(2)網(wǎng)絡(luò)核心設(shè)備采用全分布式體系結(jié)構(gòu)，路由與轉(zhuǎn)發(fā)分離。(3)所有關(guān)鍵器件，如主控板、交換網(wǎng)、電源等都采用冗余設(shè)計，業(yè)務(wù)模塊支 持熱插拔。(4)網(wǎng)絡(luò)核心設(shè)備無源背板，釆用無源器件的背板，可靠性更高。(5)網(wǎng)絡(luò)核心設(shè)備支持不間斷轉(zhuǎn)發(fā)，主控板熱備份。主備倒換過程不影響業(yè)務(wù)轉(zhuǎn)發(fā)，不丟包。(6)網(wǎng)絡(luò)核心設(shè)備支持軟件在線升級，升級過程中業(yè)務(wù)不中斷。(7)網(wǎng)絡(luò)核心設(shè)備支持軟件熱補丁，打補丁過程中主控板和接口板都不需要重啟動，業(yè)務(wù)不中斷。本期由于投資成本的考慮，廣域網(wǎng)鏈路沒有釆用雙鏈路進行路由備份，但對于局域網(wǎng)及廣域網(wǎng)出口的設(shè)計，則考慮了線路的可靠性。鏈路冗佘設(shè)計主要體現(xiàn)在以下幾個方面：(1)具有雙出口路由器的節(jié)點，局域網(wǎng)核心交換機通過兩條GE鏈路上行到局 域網(wǎng)的出口路由器，待條件成熟后出口路由器到運營商傳輸設(shè)備可以通過兩條鏈路連接，兩條鏈路互為備份。平時兩條鏈路都處于工作狀態(tài)，當(dāng)其中一條鏈路出現(xiàn)故障，流量將自動切換到另外鏈路上。(2)路的可靠性還體現(xiàn)在釆用鏈路捆綁技術(shù)，主要體現(xiàn)在以下幾個方面：a)廣域網(wǎng)線路。省中心使用的是POS線路，運行PPP鏈路層協(xié)議，當(dāng)需要更高的帶寬時，可以考慮釆用MP( Multiple PPP)技術(shù)，即將多個POS線路進行捆綁,但是使用同一個IP邏輯接口。這樣，一方面可以利用擴大聯(lián)接的帶寬，另一方面由于捆綁，不同的E1線路間也可以用于快速的冗余備份。b)局域網(wǎng)線路。局域網(wǎng)中，在關(guān)鍵鏈路上釆用Ethernet Trunk技術(shù)，即將多個 Ethernet Link捆綁為一條Trunk鏈路，該Trunk鏈路在設(shè)備上對應(yīng)為一個邏輯接口， 在路由表中只有一項；其下一跳是這個邏輯接口，當(dāng)報文需要經(jīng)這個邏輯接口轉(zhuǎn)發(fā)時，路由表信息指示這個接口是邏輯接口，轉(zhuǎn)發(fā)部件選擇一個實際物理出接口，因此當(dāng)TRUNK中的某一鏈路故障時，只需要更新TRUNK表，而不影響需要更新秒 級收斂的路由表，大大提高了故障恢復(fù)的能力。c)在局域網(wǎng)中還可以通過MSTP來保障網(wǎng)絡(luò)的可靠性，可以采用MSTP技術(shù)，在雙骨干鏈路上實現(xiàn)負載均衡和冗余備份，從而充分利用兩條光纖骨干。多生成樹協(xié)議MSTP (Multiple Spanning Tree Protocol)是 IEEE 中定義的一種新型生成樹協(xié)議，區(qū)別于當(dāng)前使用廣泛的STP/RSTP, MSTP具有很好的VLAN認知能力和 負載均衡能力，而且還能很好的向下兼容STP/RSTP,通過MSTP裁減保證無環(huán)，任何一條鏈路出現(xiàn)問題，MSTP能夠迅速收斂，備份鏈路接替業(yè)務(wù)。合理規(guī)劃路由協(xié)議和策略，充分考慮路由收斂的性能：本項目網(wǎng)絡(luò)采用OSPF + BGP +靜態(tài)的路由策略，一方面這種路由方式有很好的靈活性，可以利用BGP豐富的屬性控制不同業(yè)務(wù)流的走向，另一方面這種路由策略有很強的可靠性。充分利用帶寬和設(shè)備資源的同時，所有關(guān)鍵路徑均有備份路由：在IP網(wǎng)絡(luò)中，為了均衡網(wǎng)絡(luò)負載，為一個目的地址配置多個下一跳的負載分擔(dān)（Load Balancing) 技術(shù)已經(jīng)在路由器中開始應(yīng)用。多個下一跳可通過運行某些支持等值路由的路由協(xié)議獲得（如OSPF),也可以由路由器通過其它策略來配置（如通過配置靜態(tài)路由）。在報文轉(zhuǎn)發(fā)過程中，如果查找到的轉(zhuǎn)發(fā)表項中含有多個下一跳，則可通過某種策略 (如使用Round Robin方式或?qū)笪牡刂愤M行HASH使每條流對應(yīng)一個固定的下一 跳）決定使用那個下一跳進行報文轉(zhuǎn)發(fā)。為一個目的地址配置多個下一跳還可以增強網(wǎng)絡(luò)的可靠性，當(dāng)一個下一跳失效時，可以繼續(xù)使用另一個下一跳進行報文轉(zhuǎn)發(fā)，即所謂的重路由技術(shù)（Reroute)。在局域網(wǎng)核心的三層交換機啟動VRRP或HSRP技術(shù)，實現(xiàn)雙機熱備份：簡單來說VRRP或HSRP是一種容錯協(xié)議，它保證當(dāng)主機的下一跳設(shè)備壞掉時可以及時由另一臺設(shè)備來代替，從而保持通訊的連續(xù)性和可靠性。對于IP網(wǎng)絡(luò)，流量分布是不均衡的，特別是突發(fā)流量會引起網(wǎng)絡(luò)的擁塞，由于很多業(yè)務(wù)都對網(wǎng)絡(luò)擁塞敏感，如一些基于TCP的業(yè)務(wù)，嚴重的網(wǎng)絡(luò)擁塞將導(dǎo)致業(yè)務(wù)的中斷，所以需要使用流量管理技術(shù)使網(wǎng)絡(luò)流量均衡，提高網(wǎng)絡(luò)的利用率，進而對控制網(wǎng)絡(luò)擁塞情況的發(fā)生。目前流量管理主要通過QoS設(shè)計實現(xiàn)。應(yīng)用可靠性還體現(xiàn)在不同業(yè)務(wù)流相互隔離，互不影響，如采用VPN技術(shù)將不同業(yè)務(wù)相互隔離。十、網(wǎng)絡(luò)安全建設(shè)本章節(jié)主要討論網(wǎng)絡(luò)基礎(chǔ)平臺的安全建設(shè)。在本項目網(wǎng)絡(luò)構(gòu)建及組成中，網(wǎng)絡(luò)設(shè)備需要完成網(wǎng)絡(luò)級安全的防范。網(wǎng)絡(luò)設(shè)備必須具有如下的安全特性：可靠性與線路安全、身份認證、訪問控制、信息隱藏、數(shù)據(jù)加密、攻擊探測和防范、安全管理等方面的內(nèi)容。只有網(wǎng)絡(luò)管理員才有權(quán)訪問本項目網(wǎng)絡(luò)系統(tǒng)設(shè)備，所以對訪問設(shè)備的用戶需要進行身份認證；需要網(wǎng)絡(luò)設(shè)備提供